ツール

projectdiscovery/nuclei

高速なYAMLベースの脆弱性スキャナーで、テンプレート駆動型の検出エンジンを備え、Webアプリ、API、ネットワーク、DNS、クラウドインフラストラクチャにわたる自動セキュリティテストを実現します。

trufflesecurity/trufflehog

漏洩した認証情報を発見、検証、分析する

infisical/infisical

Infisical is the open-source platform for secrets, certificates, and privileged access management.

aquasecurity/trivy

コンテナ、Kubernetes、コードリポジトリ、クラウドなどにおける脆弱性、設定ミス、シークレット、SBOMを発見

shieldfy/api-security-checklist

APIを設計、テスト、リリースする際の最も重要なセキュリティ対策のチェックリスト

getsops/sops

シンプルで柔軟なシークレット管理ツール

nvidia/skillspector

AIエージェントスキル向けセキュリティスキャナ。インストールする前に、Claude Code、Codex、MCPスキルに含まれる脆弱性、悪意のあるパターン、セキュリティリスク、プロンプトインジェクション、データ窃取、サプライチェーンリスクを検出します。

nvidia/openshell

自律型AIエージェント向けのサンドボックス化されたランタイム。ファイルシステム、ネットワーク、プロセスの制約を強制する宣言型YAMLポリシーと、エンドポイントに紐付けられた認証情報の注入機能を備えています。

semgrep/semgrep

軽量な静的解析、多言語対応。ソースコードのようなパターンでバグの亜種を見つけます。

gitleaks/gitleaks

高速でオープンソースの静的解析ツール。Gitリポジトリ、ファイル、標準入力ストリーム内のパスワード、APIキー、トークンなどのハードコードされたシークレットを、カスタマイズ可能なルールエンジンで検出します。

s0md3v/photon

OSINT向けに設計された驚異的に高速なクローラー

anchore/grype

コンテナイメージとファイルシステム向けの脆弱性スキャナ

vercel-labs/deepsec

大規模コードベース向けのエージェント駆動型脆弱性スキャナー。LLMを用いて、正規表現マッチャーとAI調査により検出が難しいセキュリティ問題を発見します。CI/PR統合と分散実行に対応。

streaak/keyhacks

バグバウンティプログラムやペネトレーションテストで流出したAPIキーを検証するためのコマンドの厳選されたコレクション。AWS、GitHub、Slack、Twilioを含む80以上のサービスをカバーしています。

google/osv-scanner

Goで書かれた脆弱性スキャナーで、https://osv.dev が提供するデータを使用します。

bridgecrewio/checkov

ビルド時にTerraform、Kubernetes、CloudFormation、コンテナイメージ全体でクラウドの誤設定、脆弱性、シークレットを検出するインフラストラクチャ・アズ・コード向けの静的解析ツール。

ossf/scorecard

OpenSSF Scorecard - オープンソースのセキュリティ健全性指標